阿里先知·· 3 天前精选推荐指数73
CVE-2026-26216：Crawl4AI hooks 白名单保留 __import__ 导致无认证 RCE
CVE-2026-26216：Crawl4AI 的 hooks 参数与一个不该留在白名单里的 import
AI 导读
CVE-2026-26216（GHSA-5882-5rx9-xgxp，CVSS 10.0）是 Crawl4AI < 0.8.0 的未认证远程代码执行漏洞，攻击向量为 POST /crawl 的 hooks.code 参数，默认部署 JWT 关闭、容器以 root 运行。
推荐理由
文章完整拆解了沙箱白名单因保留 __import__ 被单点打穿的链路与修复对比，可迁移用于审查自建 exec 沙箱的白名单设计。
来源：阿里先知 · xz.aliyun.com